Il 2 agosto 2026 mezza Italia era sotto l'ombrellone e l'altra mezza leggeva post allarmistici scritti da gente che il regolamento non l'ha mai aperto. "Da domani multe fino a 35 milioni." "Se usi ChatGPT sei fuorilegge." Porca miseria, calmiamoci.
La verità è più noiosa e più utile: qualcosa è scattato sul serio, qualcos'altro è stato rinviato di sedici mesi con un regolamento pubblicato pochi giorni prima. Se non ti sei accorto di niente, non sei distratto te: è l'Europa che ha cambiato le carte in tavola il 24 luglio 2026, mentre chiudevi le pratiche prima delle ferie.
Cosa è entrato in vigore per davvero
Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza dell'articolo 50. Tradotto: se fai parlare i tuoi clienti con un chatbot, il chatbot deve dire di essere un chatbot. Se generi immagini, audio o video con l'IA, quel contenuto deve essere riconoscibile come artificiale. Se usi sistemi di riconoscimento delle emozioni o di categorizzazione biometrica, le persone esposte devono saperlo.
Sempre da quella data è operativo l'impianto sanzionatorio. Non è più teoria da convegno: le multe sono esigibili. E in Italia è diventata operativa la vigilanza nazionale, che ha due nomi precisi — ACN per la sorveglianza del mercato e le sanzioni, AgID come autorità di notifica. Sono quelli che ti bussano alla porta, non "l'Europa".
Cosa invece è slittato (e di parecchio)
Qui sta la notizia che nessuno ti ha raccontato bene. Il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus sull'IA, è stato pubblicato in Gazzetta Ufficiale europea il 24 luglio 2026 ed è in vigore dal 27 luglio. È la prima modifica sostanziale all'AI Act da quando esiste.
Cosa fa? Sposta in avanti la parte pesante. I sistemi ad alto rischio dell'Allegato III — quelli su selezione del personale, merito creditizio, istruzione, servizi essenziali — non partono più il 2 agosto 2026 ma il 2 dicembre 2027. Quelli dell'Allegato I, cioè l'IA incorporata in macchine, dispositivi medici, ascensori e simili, slittano addirittura al 2 agosto 2028.
Con loro slitta tutto il corredo: valutazione di conformità, sistema di gestione della qualità, sorveglianza umana strutturata, gestione degli incidenti. Sedici mesi in più. Non è un condono, è una proroga.
La data che nessuno si è segnato: 2 dicembre 2026
Se devi appuntarti una sola scadenza sul calendario, appuntati questa. Il 2 dicembre 2026 scattano due cose serie.
La prima: la marcatura leggibile da macchina dei contenuti sintetici per i sistemi già immessi sul mercato prima del 2 agosto 2026. Non basta scrivere "generato con IA" in fondo alla pagina: serve un marcatore che un software sappia leggere da solo.
La seconda: entrano in applicazione i nuovi divieti introdotti dall'Omnibus su deepfake a contenuto sessuale non consensuale e materiale pedopornografico generato con l'IA. In Italia una parte di questa roba è già reato dal 10 ottobre 2025, con l'articolo 612-quater del codice penale: da uno a cinque anni di reclusione.
Quanto rischi, in numeri
Le pratiche vietate dall'articolo 5 — quelle proibite dal 2 febbraio 2025, tipo il punteggio sociale — arrivano a 35 milioni di euro o al 7% del fatturato mondiale. La violazione degli altri obblighi, trasparenza compresa, arriva a 15 milioni o al 3%. Fornire informazioni inesatte all'autorità costa fino a 7,5 milioni o all'1%. Per PMI e start-up si applica l'importo inferiore fra i due, che è l'unica cosa gentile del pacchetto.
Prima di sentirti già condannato: sono massimali. Sono pensati per chi il modello lo costruisce e lo vende in tutta Europa, non per la tua agenzia con quattro dipendenti. Ma la trasparenza sul chatbot ti costa mezza giornata di lavoro, quindi non c'è nessun motivo per fare il furbetto.
Cosa fare lunedì mattina
Scrivi su un foglio quali sistemi di IA usa la tua azienda, chi li ha attivati e per fare cosa. Guarda quali di questi parlano con clienti o dipendenti, e verifica che dichiarino di essere IA. Controlla se pubblichi contenuti generati dall'IA senza dirlo. Poi rileggi il foglio: nella maggior parte dei casi hai finito lì, e ti restano diciotto mesi per la parte difficile.
Una nota personale
Io di mestiere costruisco sistemi IA privati per studi professionali e piccole imprese italiane. Non vendo corsi e non vendo pacchetti di conformità da 4.000 euro con la copertina lucida. I regolamenti li leggo perché mi tocca, e li racconto come li ho capiti. Se hai una domanda, sul gruppo Telegram di Super Squalo (t.me/Squalogruppo) si discute di questa roba ogni giorno, e si risponde gratis.
Il 2 agosto è passato. Il 2 dicembre no.
Domande frequenti
Se uso solo ChatGPT in ufficio devo fare qualcosa?
Sei un deployer, non un fornitore. Gli obblighi pesanti restano a OpenAI. A te tocca l'alfabetizzazione IA del personale prevista dall'articolo 4 e la trasparenza quando i contenuti generati arrivano al pubblico o quando fai parlare l'IA direttamente con clienti e dipendenti.
Il rinvio dell'alto rischio vale anche per i divieti?
No. I divieti dell'articolo 5 sono applicabili dal 2 febbraio 2025 e non sono stati toccati. Anzi, l'Omnibus ne aggiunge di nuovi dal 2 dicembre 2026.
Chi controlla l'applicazione dell'AI Act in Italia?
ACN, l'Agenzia per la Cybersicurezza Nazionale, per la vigilanza sul mercato, le ispezioni e le sanzioni; AgID come autorità di notifica e accreditamento. Restano competenti Banca d'Italia, CONSOB e IVASS per i settori vigilati, più il Garante privacy e AGCOM per le rispettive materie.